WordPress 6.7.2因jQuery UI 1.13.3过EOL致渗透测试失败求方案

关于是否可以告知渗透测试人员“暂不修复” #

可以，但需要提供合理的风险说明与临时缓解措施：

• 明确说明jQuery UI 1.13.3是WordPress核心内置组件，官方已有升级至1.14版本的工单在推进，并非项目方未重视安全问题。
• 补充：WordPress核心团队对内置组件的安全支持通常会覆盖EOL版本的安全漏洞补丁——即便组件本身停止维护，核心仍会针对已发现的高危漏洞进行回溯修复，可参考WP过往安全更新记录。
• 同步提供你正在实施的临时安全措施（如下文的替换方案、额外安全插件），让测试团队认可风险处于可控状态。

避免兼容性问题的技术替换方案 #

直接全量替换jquery-ui-core确实容易引发兼容性问题，建议按以下步骤优化：

1. 优化替换代码，适配多站点场景 #

不要用主题目录存储jQuery UI文件（多站点切换主题会失效），改用mu-plugins（全局必须启用的插件）托管脚本，同时确保只在后台加载替换版本：

function overwrite_jquery_ui_core() {
    // 仅在后台执行替换
    if ( ! is_admin() ) return;

    // 注销核心自带的jquery-ui-core
    wp_deregister_script('jquery-ui-core');
    // 注册1.14版本，文件放在mu-plugins目录下实现多站点全局生效
    $ui_script_url = WPMU_PLUGIN_URL . '/jquery-ui-1.14.1/jquery-ui-core.min.js';
    wp_register_script('jquery-ui-core', $ui_script_url, array('jquery'), '1.14.1', true);
    wp_enqueue_script('jquery-ui-core');

    // 按需同步替换依赖的jQuery UI组件（如dialog、sortable等）
    $ui_components = array('dialog', 'sortable', 'datepicker');
    foreach ($ui_components as $component) {
        wp_deregister_script("jquery-ui-$component");
        wp_register_script(
            "jquery-ui-$component",
            WPMU_PLUGIN_URL . "/jquery-ui-1.14.1/jquery-ui-$component.min.js",
            array('jquery-ui-core'),
            '1.14.1',
            true
        );
        wp_enqueue_script("jquery-ui-$component");
    }
}
add_action( 'admin_enqueue_scripts', 'overwrite_jquery_ui_core' );

2. 分步测试，降低兼容性风险 #

• 先在测试环境的单站点部署替换代码，逐一测试后台核心功能：媒体库上传、文章编辑、自定义字段、站点设置、已安装插件的后台页面。
• 遇到兼容性问题时，先排查冲突组件，针对性回退该组件的替换（比如datepicker失效就暂时保留核心版本），同时记录问题等待官方更新。

3. 增加额外安全层 #

启用WordPress安全插件（如Wordfence、Sucuri），开启实时威胁检测与防火墙规则，弥补EOL组件的潜在风险，作为临时过渡措施。

4. 绝对禁止修改核心文件 #

不要直接编辑wp-includes/script-loader.php，此举会破坏自动更新机制，后续WP版本更新会覆盖你的修改，引发更多稳定性问题。

内容的提问来源于stack exchange，提问作者fseydel